【独家】IEC新标准助力维护医疗网络安全(1)

【HC3i独家翻译】医院的网络基础设施存储着关键和敏感的数据，因此其重要子系统之间相互作用，正在成为一个十分复杂的系统。在过去的十年中，医疗设备和技术越来越多的相互联系和相互依存。IT-网络的支持令以往单机运转的医疗设备、普通IT-网络和技术基础设施互联互通，因此他们已经不再是一个个孤立的岛屿。

虽然不断增加的能力和通信技术的可用性使这一转变成为可能，而该趋势背后的真正推动力则更为基本和重要。临床医师、患者和纳税人都对这个高效、互联的系统感兴趣，因为其可以更好的照顾患者，改善疾病预后。IT、生物医学工程和其他医疗机构内的“业务”部门感兴趣的则是如何扩展其效能，有效利用企业IT基础设施的投资。最终医疗设备制造商、IT设备供应商、其他软件和应用程序开发者和通信服务供应商都力求通过与对方的设备、应用程序、服务及其他技术进行交互整合以开发提高创新和竞争力的解决方案。然而，伴随着所有这些好处，我们需要一种新的方式管理面对的新的风险。

2005年，FDA鼓励标准化组织帮助解决这个迫在眉睫的问题。国际电工委员会（IEC）和国际标准化组织（ISO）回应，成立一个联合工作组，称为“JWG7”。经过多年的工作和分析，工作组发布了一个新的标准，即“IEC80001-1：IT-网络与医疗设备整合风险管理应用指南”。

去年年底公布的新IEC80001-1标准，旨在帮助医疗保健行业把风险降到最低，并提高效率，保障患者安全和网络安全。该标准界定了将医疗设备整合到共享的公司IT-网络时应用风险管理流程的框架。如同在IEC80001-1:2010中定义的，网络在照护中扮演的角色是保证稳定的风险管理。

风险管理是一个主题丰富的理论，包含许多智慧和哲学辩论，可以展开丰富的讨论。然而到了最后的时刻，如同教练安排一个合适的球员上场，手指按下键盘的一瞬间，作为一个组织，不管是否相信它的系统足够安全，是否可应用于病人，必须做出决定。风险是另一种语言，风险管理团队的每个成员必须适应。这种语言是用来弥补这些团队成员所说的母语之间的差异，可以是临床、技术、业务或安全性层面。一旦成员集合好了，语言问题解决了，团队就必须通过合乎逻辑的步骤，以减少最后风险发生的可能。在子系统中应用风险管理不是个小任务，融合多个子系统的风险分析是很难的，超级系统的复杂性大大增加，尤其当系统是由多个公司和组织提供的，如医疗IT - 网络。

对于共享网络有很多可以减少风险的做法。因为需要不同的组织和部门都参与以确保风险管理成功，医院内外都要一个标准的方式来组织和维持这种努力。 IEC80001-1:2010需要一个全面的风险管理政策以保护三个关键特性：医疗安全性、有效性以及数据和系统的安全性，所有这些往往是相互关联的。增加效益可能是医疗IT-网络建设和使用的原因之一，所以安全与风险之间必须平衡。此外，在安全方面，因违反安全的可用性的损失可能会导致效率低下甚至危及安全。